Field guide · as of기준일 2026-10-27
Refusal can be removed from open weights in an afternoon. Decide who writes the rules.
공개 가중치의 거부는 반나절이면 지워진다. 규칙은 누가 쓸 것인가.
"Abliterated", "uncensored", "heretic" and "unlocked" models are open-weight LLMs whose refusal behavior was edited out after release. This page maps which ones exist, what their licenses still say, where they can run, how defenders use them, and why high-risk industrial sites should set refusal policy from their own safety rules instead of inheriting a provider's.
"abliterated", "uncensored", "heretic", "unlocked" 모델은 공개 후 거부 동작을 지운 오픈 웨이트 LLM이다. 이 페이지는 어떤 모델이 있는지, 라이선스가 여전히 무엇을 금지하는지, 어디서 돌릴 수 있는지, 방어자는 이를 어떻게 쓰는지, 그리고 고위험 산업 현장은 왜 공급자 정책을 물려받지 말고 현장 안전 규칙으로 거부 정책을 직접 정해야 하는지를 정리한다.
Scope. Landscape, licenses, deployment options and defense only. No prompts, jailbreaks or instructions for harmful use. Refusal and benchmark numbers are the uploaders' own claims unless a paper is cited. Repos appear and disappear weekly; re-check before relying on any row.
범위. 지형·라이선스·배포 선택지·방어만 다룬다. 유해한 용도의 프롬프트·탈옥·지침은 싣지 않는다. 논문 인용이 없는 거부율·벤치마크 수치는 업로더의 자체 주장이다. 저장소는 매주 생기고 사라지니, 쓰기 전에 다시 확인한다.
- Models listed
- 수록 모델
- 40
- DeepSeek V4.1 abliterated repos
- DeepSeek V4.1 거부 제거 저장소
- 7+
- Managed API serving them
- 그대로 서빙하는 관리형 API
- none found찾지 못함
- Smallest V4.1 build
- 가장 작은 V4.1 빌드
- ~106 GiB
- Llama clause on heavy machinery
- Llama 중장비 조항
- AUP 2.d
What "abliteration" is
abliteration이란
A weight edit, not a new model. It finds the internal direction that triggers refusal and projects it out of the weights.
새 모델이 아니라 가중치 편집이다. 거부를 일으키는 내부 방향을 찾아 가중치에서 투영으로 제거한다.
Arditi et al. (2024) showed that across 13 chat models a single difference-in-means direction in the residual stream mediates refusal. Orthogonalizing the weights against it disables refusal while leaving most capability intact.
Arditi 등(2024)은 13개 채팅 모델에서 residual stream의 평균 차 방향 하나가 거부를 매개함을 보였다. 가중치를 이 방향에 직교화하면 능력은 대부분 남기고 거부만 꺼진다.
- Abliteration: direction ablation (FailSpy, mlabonne, huihui-ai).
- Heretic: automated search that minimizes refusals and KL divergence together (p-e-w).
- Uncensored fine-tunes: retraining on non-refusing data (Dolphin, Lexi).
- Multi-direction: refusal is a cone, not one line (Wollschläger 2025).
- Abliteration: 방향 제거 (FailSpy, mlabonne, huihui-ai).
- Heretic: 거부 수와 KL 발산을 함께 줄이는 자동 탐색 (p-e-w).
- Uncensored 파인튜닝: 거부하지 않는 데이터로 재학습 (Dolphin, Lexi).
- 다방향: 거부는 한 직선이 아니라 원뿔이다 (Wollschläger 2025).
KL divergence from the base is the de facto damage metric. Reported costs vary by model: logic and coding erosion, shifts in decision style (less uncertainty language), and loss of refusals that were actually useful. Abliteration removes good brakes along with bad ones.
원본 대비 KL 발산이 사실상의 손상 지표다. 보고된 비용은 모델마다 다르다. 논리·코딩 저하, 의사결정 성향 변화(불확실성 표현 감소), 실제로 쓸모 있던 거부의 상실. abliteration은 나쁜 브레이크와 함께 좋은 브레이크도 지운다.
First target: abliterated DeepSeek V4.1-Flash
첫 대상: 거부 제거 DeepSeek V4.1-Flash
DeepSeek V4.1-Flash (Sep 10, 2026; "1017" update Oct 17) is MIT-licensed, multimodal, 1M context, 552B backbone plus Engram memory (763B on the Hub), 8–16B active. No V4.1-Pro is on Hugging Face, so every abliterated V4.1 is Flash-based.
DeepSeek V4.1-Flash(2026-09-10 공개, 10-17 "1017" 갱신)는 MIT 라이선스, 멀티모달, 1M 컨텍스트, 552B 백본+Engram 메모리(Hub 표기 763B), 활성 8–16B다. Hugging Face에 V4.1-Pro는 없어서 거부 제거 V4.1은 모두 Flash 기반이다.
Where it can be served today
지금 서빙할 수 있는 곳
| Option | 선택지 | How | 방법 | Hardware | 하드웨어 | Notes | 비고 |
|---|---|---|---|---|---|---|---|
| Self-host · SGLang | FP8 checkpoint, tensor/expert parallel 4, Engram tables in host RAM (SGLang V4.1 dev image)FP8 체크포인트, TP4/EP4, Engram 테이블은 호스트 RAM(SGLang V4.1 dev 이미지) | 4× H200 | Card reports ~101 tok/s single stream, 256K context카드 기준 단일 스트림 약 101 tok/s, 256K 컨텍스트 · card | ||||
| DeepInfra custom LLM | Point at any HF repo; B200/H200 tiers임의 HF 저장소 지정, B200/H200 | H200 / B200 | docs | ||||
| RunPod · Modal · Baseten | Your own vLLM/SGLang container on rented GPUs빌린 GPU에서 직접 vLLM/SGLang 컨테이너 | 4–8× H200 | RunPod · Modal · Baseten | ||||
| HF Inference Endpoints | Custom container + custom hardware커스텀 컨테이너 + 커스텀 하드웨어 | multi-H200 | Abliterated repos have no 1-click preset거부 제거 저장소는 원클릭 프리셋 없음 · docs | ||||
| Mac · ds4 runtime | 1-bit GGUF fully resident on Metal1비트 GGUF를 Metal에 전부 상주 | 128 GB Mac | ~106 GiB; Metal only약 106 GiB, Metal 전용 · card · ds4 | ||||
| llama.cpp (PR branch) | IQ1/IQ2 GGUF; V4.1 not yet in mainline per cardsIQ1/IQ2 GGUF, 카드 기준 메인라인 미지원 | 2× H200 | card | ||||
| Not possible불가 | Together · Fireworks · OpenRouter | – | Upload requires an already-supported architecture, or aggregator only. They serve the official V4.1-Flash, not abliterated builds.이미 지원하는 아키텍처만 업로드 가능하거나 중개만 한다. 공식 V4.1-Flash는 서빙하지만 거부 제거 빌드는 아니다. |
Official V4.1-Flash (not abliterated) is served by Novita, Together, Fireworks, Baseten, DeepInfra and Featherless. Every platform above still applies its own terms of service to what you run.
공식 V4.1-Flash(거부 미제거)는 Novita, Together, Fireworks, Baseten, DeepInfra, Featherless가 서빙한다. 위 플랫폼은 어디서든 각자의 이용약관을 그대로 적용한다.
The landscape: 40 verified repos
지형: 확인된 저장소 40개
Each row resolved on the Hugging Face Hub API on 2026-10-27. Parameter counts are Hub metadata and can be off for packed formats. "License" is the base model's; derivatives inherit it whatever the repo tag says.
모든 행은 2026-10-27 Hugging Face Hub API로 존재를 확인했다. 파라미터 수는 Hub 메타데이터라 패킹 포맷에서는 어긋날 수 있다. "라이선스"는 원본 모델 기준이며, 저장소 태그가 뭐라고 하든 파생 모델은 이를 물려받는다.
| Repo | Base | Params | Method | License |
|---|---|---|---|---|
| mrfakename/DeepSeek-V4.1-Flash-1017-abliterated | DeepSeek V4.1-Flash-1017 | 763B MoE (FP8) | abliteration (2-dim subspace) | MIT |
| pqhaz/DeepSeek-V4.1-Flash-1017-heretic | DeepSeek V4.1-Flash-1017 | 763B MoE | Heretic | MIT |
| huihui-ai/Huihui-DeepSeek-V4.1-Flash-1017-abliterated-GGUF | DeepSeek V4.1-Flash-1017 | GGUF IQ1 ~233–250 GB | abliteration (cvector), GGUF | MIT |
| audreyt/DeepSeek-V4.1-Flash-Abliterated-GGUF | DeepSeek V4.1-Flash | GGUF ~106 GiB (ds4) | re-quant of pqhaz / s-zaizen | MIT |
| s-zaizen/DeepSeek-V4.1-Flash-Abliterated | DeepSeek V4.1-Flash | 763B MoE (510 GB FP8) | abliteration | MIT |
| distributedcognition/DeepSeek-V4.1-Flash-abliterated | DeepSeek V4.1-Flash | 763B MoE | abliteration | MIT gated |
| dealignai/DeepSeek-V4.1-Flash-UNCENSORED-FP8 | DeepSeek V4.1-Flash | 763B MoE (FP8) | undisclosed method | MIT |
| huihui-ai/Huihui-DeepSeek-V4-Flash-0731-abliterated-GGUF | DeepSeek V4-Flash-0731 | 284B MoE | abliteration, GGUF | MIT |
| huihui-ai/DeepSeek-R1-Distill-Qwen-32B-abliterated | R1-Distill-Qwen-32B | 32.8B | abliteration | MIT (base) |
| huihui-ai/DeepSeek-R1-Distill-Llama-70B-abliterated | R1-Distill-Llama-70B | 70.6B | abliteration | MIT + Llama 3.3 AUP 2.d AUP 1.h |
| bartowski/perplexity-ai_r1-1776-GGUF | Perplexity R1-1776 (DeepSeek R1) | 671B MoE | post-training (political de-censoring) | MIT original repo offline |
| failspy/Meta-Llama-3-8B-Instruct-abliterated-v3 | Llama 3 8B Instruct | 8.0B | abliteration | Llama 3 AUP 2.d |
| failspy/Meta-Llama-3-70B-Instruct-abliterated-v3.5 | Llama 3 70B Instruct | 70.6B | abliteration | Llama 3 AUP 2.d |
| mlabonne/Meta-Llama-3.1-8B-Instruct-abliterated | Llama 3.1 8B Instruct | 8.0B | abliteration | Llama 3.1 AUP 2.d |
| huihui-ai/Llama-3.3-70B-Instruct-abliterated | Llama 3.3 70B Instruct | 70.6B | abliteration | Llama 3.3 AUP 2.d AUP 1.h |
| Orenguteng/Llama-3.1-8B-Lexi-Uncensored-V2 | Llama 3.1 8B | 8.0B | fine-tune | Llama 3.1 AUP 2.d |
| dphn/Dolphin3.0-Llama3.1-8B | Llama 3.1 8B | 8.0B | fine-tune (Dolphin) | Llama 3.1 AUP 2.d |
| mradermacher/Llama-4-Scout-17B-16E-Instruct-abliterated-GGUF | Llama 4 Scout | 108B MoE (17B active) | abliteration, GGUF | Llama 4 AUP 2.d AUP 1.h |
| Nekotekina/Llama-4-Maverick-17B-128E-Instruct-Projected-Abliterated-GGUF | Llama 4 Maverick | 401B MoE | projected abliteration | Llama 4 AUP 2.d AUP 1.h |
| huihui-ai/Huihui-Qwen3.8-27B-abliterated-GGUF | Qwen3.8-27B | 27.3B | abliteration, GGUF | Apache-2.0 |
| huihui-ai/Huihui-Qwen3.5-27B-abliterated | Qwen3.5-27B | 27.8B | abliteration | Apache-2.0 |
| huihui-ai/Huihui-Qwen3.6-35B-A3B-abliterated-MTP-GGUF | Qwen3.6-35B-A3B | 35.5B MoE | abliteration, GGUF | Apache-2.0 |
| null-space/Qwen3-235B-A22B-abliterated-FP8 | Qwen3-235B-A22B | 235B MoE | abliteration | Apache-2.0 |
| huihui-ai/Huihui-Qwen3-Coder-30B-A3B-Instruct-abliterated | Qwen3-Coder-30B-A3B | 30.5B MoE | abliteration | Apache-2.0 |
| p-e-w/Qwen3-4B-Instruct-2507-heretic | Qwen3-4B-Instruct-2507 | 4.0B | Heretic | Apache-2.0 |
| zetasepic/Qwen2.5-72B-Instruct-abliterated-GGUF | Qwen2.5-72B-Instruct | 72.7B | abliteration, GGUF | Qwen license |
| mlabonne/gemma-3-27b-it-abliterated | Gemma 3 27B it | 27.4B | abliteration | Gemma ToU PUP |
| p-e-w/gemma-3-12b-it-heretic | Gemma 3 12B it | 12.2B | Heretic | Gemma ToU PUP |
| IlyaGusev/gemma-2-9b-it-abliterated | Gemma 2 9B it | 9.2B | abliteration | Gemma ToU PUP |
| wangzhang/gemma-4-31B-it-abliterated | Gemma 4 31B it | 31.3B | abliteration | Apache-2.0 (Gemma 4) |
| huihui-ai/Huihui-gpt-oss-20b-BF16-abliterated | gpt-oss-20b | 20.9B MoE | abliteration | Apache-2.0 |
| p-e-w/gpt-oss-20b-heretic | gpt-oss-20b | 20.9B MoE | Heretic | Apache-2.0 |
| mradermacher/gpt-oss-120b-abliterated-GGUF | gpt-oss-120b | 117B MoE | abliteration, GGUF | Apache-2.0 |
| huihui-ai/Huihui-Mistral-Small-3.2-24B-Instruct-2506-abliterated | Mistral Small 3.2 | 24.0B | abliteration | Apache-2.0 |
| dphn/Dolphin-Mistral-24B-Venice-Edition | Mistral Small 2501 | 24B | fine-tune (Dolphin × Venice) | Apache-2.0 |
| failspy/Codestral-22B-v0.1-abliterated-v3 | Codestral 22B | 22.2B | abliteration | Mistral MNPL non-production |
| huihui-ai/Huihui-GLM-4.7-Flash-abliterated | GLM-4.7-Flash | 31.2B | abliteration | MIT |
| dealignai/GLM-5.3-ABLITERATED-NVFP4 | GLM-5.3 | ~391B | abliteration, NVFP4 | GLM-5.3 license (repo tag differs) verify license |
| lhca521/Huihui-Kimi-K2.5-BF16-abliterated-GGUF | Kimi K2.5 | 1.03T MoE | abliteration, GGUF | Modified MIT |
| failspy/Phi-3-mini-128k-instruct-abliterated-v3 | Phi-3 mini 128k | 3.8B | abliteration | MIT |
Producers. huihui-ai is by far the most prolific; failspy and mlabonne did the 2024 work; p-e-w maintains Heretic (AGPL-3.0); mradermacher, bartowski and unsloth re-quantize. Ollama's huihui_ai namespace carries many abliterated tags (no V4.x yet). Perplexity's R1-1776 removed political censorship only; the original repo is no longer public, mirrors remain.
제작자. huihui-ai가 압도적으로 많고, failspy와 mlabonne이 2024년 초기 작업을 했으며, p-e-w가 Heretic(AGPL-3.0)을 관리한다. mradermacher, bartowski, unsloth는 재양자화를 올린다. Ollama의 huihui_ai 네임스페이스에 거부 제거 태그가 많다(V4.x는 아직 없음). Perplexity R1-1776은 정치 검열만 제거했고, 원본 저장소는 비공개가 됐으며 미러는 남아 있다.
What the licenses still say
라이선스가 여전히 말하는 것
Removing refusal does not remove the license. Three families carry clauses that matter for industrial use or for the act of abliteration itself.
거부를 지워도 라이선스는 지워지지 않는다. 세 계열은 산업 용도나 abliteration 행위 자체에 걸리는 조항을 갖고 있다.
Llama 3 / 3.1 / 3.3 / 4 · Acceptable Use Policy 2.d
"…activities that present a risk of death or bodily harm to individuals, including use of Meta Llama 3 related to the following: a. Military, warfare, nuclear industries or applications, espionage … d. Operation of critical infrastructure, transportation technologies, or heavy machinery" llama.com/llama3/use-policy · same item in동일 조항 Llama 4
Any Llama derivative, abliterated or not, cannot be used to operate critical infrastructure, transportation or heavy machinery. A plant control assistant built on Llama is outside the license regardless of how well it behaves.
Llama 파생 모델은 거부 제거 여부와 상관없이 중요 인프라·운송·중장비 운영에 쓸 수 없다. Llama 기반 공장 제어 보조 도구는 얼마나 잘 동작하든 라이선스 밖이다.
Llama 3.3 / 4 · AUP 1.h
"Engage in any action, or facilitate any action, to intentionally circumvent or remove usage restrictions or other safety measures, or to enable functionality disabled by Meta" llama.com/llama4/use-policy
From Llama 3.3 on, the act of removing safety measures is itself listed. Abliterated Llama 3.3 and Llama 4 repos are marked AUP 1.h in the table.
Llama 3.3부터는 안전장치를 제거하는 행위 자체가 금지 목록에 있다. 표에서 거부 제거 Llama 3.3·4 저장소에 AUP 1.h를 붙였다.
Gemma 2 / 3 · Prohibited Use Policy
"Attempts to override or circumvent safety filters or intentionally drive Gemma or Model Derivatives to act in a manner that contravenes this Gemma Prohibited Use Policy." ai.google.dev/gemma/prohibited_use_policy · Gemma 4 moved to Apache-2.0Gemma 4는 Apache-2.0으로 전환
Permissive families
허용적 계열
| Family | License | Notable terms | 주요 조건 |
|---|---|---|---|
| DeepSeek V3 · R1 · V4 · V4.1 | MIT | No use restrictions in the license.라이선스상 용도 제한 없음. card | |
| Qwen3 – 3.8 | Apache-2.0 | Qwen2.5-72B uses the separate Qwen license.Qwen2.5-72B는 별도 Qwen 라이선스. license | |
| gpt-oss | Apache-2.0 | Usage policy asks only for compliance with applicable law.사용 정책은 관련 법 준수만 요구. USAGE_POLICY | |
| Mistral Small / Nemo | Apache-2.0 | Codestral 22B is MNPL (non-production); research-licensed models are research-only.Codestral 22B는 MNPL(비프로덕션), 연구 라이선스 모델은 연구용만. MNPL | |
| Kimi K2.x | Modified MIT | Attribution above 100M MAU or $20M monthly revenue.MAU 1억 또는 월매출 2천만 달러 초과 시 표기 의무. | |
| GLM-5.3 | GLM license | Some derivative repos are tagged MIT; check the base license.일부 파생 저장소가 MIT로 잘못 태그됨, 원본 라이선스 확인. |
Hosting rules still apply. Hugging Face's content policy restricts content that promotes high-risk illegal activity, and it has disabled at least one abliterated repo built for offensive cyber use. OpenRouter's terms forbid red-teaming models without written approval. Base repos for Llama 3.3, Llama 4 and Gemma 3 are gated; the abliterated derivatives checked here are not.
호스팅 규칙도 그대로다. Hugging Face 콘텐츠 정책은 고위험 불법 행위를 조장하는 콘텐츠를 제한하며, 공격용 사이버 목적으로 만든 거부 제거 저장소를 최소 하나 비활성화했다. OpenRouter 약관은 서면 승인 없는 레드팀을 금지한다. Llama 3.3·4와 Gemma 3 원본은 게이트가 있지만, 여기서 확인한 거부 제거 파생 모델은 게이트가 없다.
How people run them
실행 방법
Same runtimes as any open model. The constraint is memory.
다른 오픈 모델과 같은 런타임을 쓴다. 제약은 메모리다.
Hardware tiers (4-bit rule of thumb: params × 0.6 GB + 1–2 GB)
하드웨어 구간 (4비트 경험칙: 파라미터 × 0.6 GB + 1–2 GB)
| Size | Q4 weights | Typical hardware | 일반 하드웨어 | Runtimes | 런타임 |
|---|---|---|---|---|---|
| 4–8B | ~3–5 GB | 8 GB GPU · 16 GB Mac | Ollama · LM Studio · llama.cpp · MLX | ||
| 14B | ~9–12 GB | 12–16 GB GPU | Ollama · llama.cpp · vLLM | ||
| 24–32B | ~15–20 GB | 24 GB GPU · 32 GB Mac | Ollama · llama.cpp · vLLM | ||
| 70B | ~42 GB | 2× 24 GB · 64 GB Mac | vLLM · llama.cpp | ||
| 235–400B MoE | ~140–240 GB | 192–256 GB Mac · multi-GPU192–256 GB Mac · 멀티 GPU | vLLM · SGLang · llama.cpp | ||
| DeepSeek V4.1-Flash | 106 GiB (1-bit) – 510 GB (FP8) | 128 GB Mac · 4× H200 | ds4 · SGLang · llama.cpp (PR) |
Managed platforms that accept your own repo
내 저장소를 올릴 수 있는 관리형 플랫폼
| Platform | Arbitrary HF repo | 임의 HF 저장소 | Notes | 비고 |
|---|---|---|---|---|
| DeepInfra | yes | Any HF LLM, private repos via token, scales to zero임의 HF LLM, 토큰으로 비공개 저장소, 0까지 축소 | ||
| RunPod Serverless | yes | Any vLLM-supported model; GGUF via Ollama workervLLM 지원 모델 전부, GGUF는 Ollama 워커 | ||
| Modal | yes | Your own vLLM server, per-second GPU billing직접 띄운 vLLM, 초 단위 GPU 과금 | ||
| Baseten | yes | Truss · vLLM / SGLang / TRT-LLM · H100–B300 | ||
| HF Inference Endpoints | yes | vLLM / TGI / custom containervLLM / TGI / 커스텀 컨테이너 | ||
| Replicate | yes | Package with Cog; up to 8× H100Cog 패키징, 최대 8× H100 | ||
| Featherless | catalog | Serves many abliterated finetunes up to 72B via HF Inference Providers72B까지 많은 거부 제거 파인튜닝을 HF Inference Providers로 서빙 | ||
| Together · Fireworks | limited | Only architectures they already support이미 지원하는 아키텍처만 | ||
| OpenRouter · Venice | no | Curated catalogs; Venice serves open models without an added filter큐레이션 카탈로그, Venice는 추가 필터 없이 오픈 모델 서빙 |
Defending with (and against) unlocked models
거부 제거 모델로 방어하기, 그리고 이에 맞서기
Assume the attacker already has an unlocked model. The useful question is what still stops harm when the model itself will not.
공격자는 이미 거부 제거 모델을 갖고 있다고 가정한다. 쓸모 있는 질문은 모델이 막지 않을 때 무엇이 피해를 막느냐다.
An unlocked model is the worst-case version of your own system. Run your guardrails against it, not only against the aligned base. Aligned models refuse to generate the unsafe responses that safety classifiers need as training data; NVIDIA's Aegis 2.0 used an unaligned model for exactly that reason.
거부 제거 모델은 내 시스템의 최악 버전이다. 가드레일을 정렬된 원본뿐 아니라 이 모델에도 돌린다. 정렬된 모델은 안전 분류기 학습에 필요한 위험 응답 생성을 거부한다. NVIDIA Aegis 2.0이 비정렬 모델을 쓴 이유다.
Put a separate classifier on input and output. Several read your own written policy at inference time, so the rules are yours, not the vendor's.
입력과 출력에 별도 분류기를 둔다. 일부는 추론 시점에 내가 쓴 정책을 읽으므로 규칙의 주인은 공급자가 아니라 나다.
- gpt-oss-safeguard (bring your own policy)(정책 직접 작성)
- NeMo Guardrails · Llama Guard 4
- Qwen3Guard · Granite Guardian · ShieldGemma · WildGuard
Under-refusal and over-refusal are both failures. Score them together; a stack that never refuses and one that refuses every legitimate request both fail.
과소 거부와 과잉 거부 모두 실패다. 함께 채점한다. 아무것도 거부하지 않는 스택도, 정당한 요청을 모두 거부하는 스택도 실패다.
- Harm:위해: HarmBench · StrongREJECT · AgentHarm · WMDP
- Over-refusal:과잉 거부: XSTest · OR-Bench · SORRY-Bench
Diff the candidate against its claimed base and probe the refusal gap in activations. A 2026 preprint combining both reports AUROC 0.95, but multi-direction edits evade the activation signal. Model cards' base_model is self-declared.
후보를 주장된 원본과 가중치 diff 하고, 활성값의 거부 격차를 측정한다. 두 신호를 합친 2026 프리프린트는 AUROC 0.95를 보고하지만, 다방향 편집은 활성 신호를 피한다. 모델 카드의 base_model은 자기 신고다.
- Two-Signal Audit preprint · Activation Analysis preprint
Sign the weights you deploy and verify signatures at load. Signing proves who published the files and that they were not altered. It says nothing about safety, so pair it with evals.
배포하는 가중치에 서명하고 로드 시 검증한다. 서명은 누가 올렸고 바뀌지 않았음을 증명할 뿐 안전성은 말하지 않는다. 평가와 짝지어 쓴다.
If you publish weights: filter hazardous data before pretraining, spread refusal across representations, or use tamper-resistant training. None is unbreakable; layer them.
가중치를 공개한다면 사전학습 전 위험 데이터 필터링, 표현 전반에 거부 분산, 변조 저항 학습을 쓴다. 어느 것도 완벽하지 않으니 겹쳐 쓴다.
The industrial view: refusal policy belongs to the site
산업 현장 관점: 거부 정책의 주인은 현장이다
A working hypothesis from Team Attention, stated so it can be tested.
Team Attention의 작업 가설이다. 검증할 수 있도록 명시한다.
1. Provider policy can block legitimate high-risk industrial use. Llama's AUP forbids operating critical infrastructure and heavy machinery outright. Hosted-model policies require human review for high-stakes automation, and Anthropic's 2026 policy update requires a qualified operator who can stop hardware the model drives. These rules are written for the general public, not for a plant with its own permits, interlocks and safety engineers. In a 2026 study of military-domain queries, hard refusal on legitimate requests reached 98.2%. Generic refusal is a poor fit for specialist work.
2. Abliteration is the wrong fix. It removes every refusal, including the ones a plant wants: refusing to bypass an interlock, to skip a lockout/tagout step, or to give a setpoint outside the safe operating envelope. It also shifts how the model reasons about risk. Unlocking trades one generic policy for no policy.
3. So the site should write the refusal policy and score against it. Start from the plant's own safety rules (procedures, safe operating limits, permit-to-work, IEC 61508/61511 safety functions). Turn them into a written policy, build a site-safety grader that scores both under-refusal and over-refusal, then realign: a policy-reading guard model, fine-tuning against the grader, or both. The model stays advisory; safety functions stay in certified systems.
1. 공급자 정책이 정당한 고위험 산업 용도를 막을 수 있다. Llama AUP는 중요 인프라·중장비 운영을 아예 금지한다. 호스팅 모델 정책은 고위험 자동화에 사람 검토를 요구하고, Anthropic의 2026 정책 개정은 모델이 구동하는 하드웨어를 멈출 수 있는 자격 있는 운영자를 요구한다. 이 규칙들은 일반 대중을 상정해 쓰였지, 자체 인허가·인터록·안전 엔지니어를 갖춘 공장을 상정하지 않았다. 2026년 군사 도메인 연구에서 정당한 질의에 대한 하드 거부율은 98.2%였다. 일반 거부 정책은 전문 작업에 맞지 않는다.
2. abliteration은 잘못된 해법이다. 공장이 원하는 거부까지 모두 지운다. 인터록 우회, 잠금·표지(LOTO) 절차 생략, 안전 운전 범위를 벗어난 설정값 제시를 거부하는 것 말이다. 위험을 추론하는 방식도 바뀐다. 거부 제거는 일반 정책 하나를 정책 없음과 맞바꾸는 것이다.
3. 그러니 현장이 거부 정책을 쓰고, 그 기준으로 채점해야 한다. 공장의 안전 규칙(절차서, 안전 운전 한계, 작업 허가, IEC 61508/61511 안전 기능)에서 출발한다. 이를 명문화된 정책으로 바꾸고, 과소 거부와 과잉 거부를 함께 채점하는 현장 안전 채점기를 만든 뒤 재정렬한다. 정책을 읽는 가드 모델, 채점기 기반 파인튜닝, 또는 둘 다. 모델은 조언자로 남고, 안전 기능은 인증된 시스템에 남는다.
Pipeline
파이프라인
- Site rulesProcedures, safe limits, permits, SIS functions. Owned by the plant's safety engineers.
- Policy as textAllowed / must-refuse / must-escalate, with reasons. Versioned like a procedure.
- Site-safety graderCases from real operations. Scores under-refusal and over-refusal together.
- Realign & gatePolicy-reading guard, fine-tune against the grader, human sign-off, safe state on disconnect.
- 현장 규칙절차서, 안전 한계, 작업 허가, SIS 기능. 공장 안전 엔지니어가 소유.
- 정책 문서허용 / 반드시 거부 / 반드시 상신을 이유와 함께. 절차서처럼 버전 관리.
- 현장 안전 채점기실제 운영에서 뽑은 사례. 과소·과잉 거부를 함께 채점.
- 재정렬과 게이트정책 읽는 가드, 채점기 기반 파인튜닝, 사람 승인, 연결 끊김 시 안전 상태.
Anchors in existing rules
기존 규칙의 근거
- EU AI Act Annex III (2) — AI as a safety component in critical infrastructure is high-risk.— 중요 인프라의 안전 구성요소로 쓰이는 AI는 고위험.
- IET, AI in Functional Safety — AI should not directly implement safety functions under IEC 61508; its effect on safety must still be assessed.— IEC 61508에서 AI가 안전 기능을 직접 구현해서는 안 되며, 안전에 미치는 영향은 평가해야 한다.
- Anthropic 2026 usage policy update — operator must be able to observe and stop model-driven hardware; equipment holds a safe state on disconnect.— 모델이 구동하는 하드웨어를 운영자가 관찰·정지할 수 있어야 하고, 연결이 끊기면 안전 상태를 유지해야 한다.
- NIST AI RMF · ISO/IEC 42001 — management-system frame for owning the policy.— 정책을 소유하는 관리 체계의 틀.
- Constitutional Classifiers · gpt-oss-safeguard — classifiers built from a written policy; the policy can be the site's.— 명문화된 정책에서 분류기를 만든다. 그 정책이 현장의 것이 될 수 있다.
- Refusals in military LLMs · ADMITBench preprint — domain over-refusal measured; admissibility of industrial advice judged against IEC 61508/61511.— 도메인 과잉 거부 측정, 산업 조언의 적합성을 IEC 61508/61511 기준으로 판정.
Sources
출처
Papers and primary pages. Items marked preprint were confirmed to exist but are not peer reviewed.
논문과 1차 페이지. preprint 표시는 존재만 확인했고 동료 심사 전이다.
- Arditi et al. 2024, Refusal Is Mediated by a Single Direction
- Zou et al. 2023, Representation Engineering
- Wollschläger et al. 2025, Geometry of Refusal (ICML)
- Qi et al. 2023, Fine-tuning Compromises Safety
- Qi et al. 2024, Shallow Safety Alignment
- Tamirisa et al. 2024, Tamper-Resistant Safeguards
- O'Brien et al. 2025, Deep Ignorance
- Zou et al. 2024, Circuit Breakers
- Abu Shairah et al. 2025, Defense Against Abliteration
- Young 2025, Comparative Analysis of Abliteration Methods
- Surgical Refusal Ablation (2026) preprint
- Abliteration Is Not a Scalpel (2026) preprint
- Refusals in Military LLMs (2026) preprint
- Has This Checkpoint Been Abliterated? (2026) preprint
- Uncensored Open-weight Models: Redistribution (2026) preprint
- Constitutional Classifiers (2025)
- mlabonne, Uncensor any LLM with abliteration
- p-e-w/heretic · FailSpy/abliterator
- deepseek-ai/DeepSeek-V4.1-Flash
- vLLM, DeepSeek V4 support
- Llama 3 AUP · Llama 4 AUP
- Gemma Prohibited Use Policy · Gemma Terms
- Hugging Face Content Policy
- OpenAI Usage Policies · Anthropic Usage Policy